E-postsäkerhet - dummies

E-post har kommit fram som ett av de viktigaste kommunikationsmedierna i vår globala ekonomi, med över 50 miljarder e-postmeddelanden skickade över hela världen varje dag. Tyvärr står spam för så mycket som 85 procent av den e-postvolymen. Spam är mer än en mindre olägenhet - det är ett allvarligt säkerhetshot mot alla organisationer världen över.

SMTP (Simple Mail Transfer Protocol) används för att skicka och ta emot e-post via Internet. Den fungerar på TCP / UDP port 25 och innehåller många kända sårbarheter. De flesta SMTP-postservrar konfigureras som standard att vidarebefordra (eller relä) all post, oavsett om avsändarens eller mottagarens adress är giltig.

Om du inte lyckas säkra din organisations mailservrar kan det vara tillåtet för spammare att missbruka dina servrar och bandbredd som ett öppet relä för att sprida sin spam. Den dåliga nyheten är att du så småningom (oftast inte tar mer än några dagar) blir svartlistad av ett stort antal organisationer som upprätthåller realtids blackhole listor (RBL) mot öppna reläer, vilket effektivt hindrar de flesta (om inte allt) e-postkommunikation från din organisation når sina avsedda mottagare. Det tar vanligtvis flera månader att avlägsnas från de här RBL: erna efter att du har svartlistats, och det har betydande skador på organisationens kommunikationsinfrastruktur och trovärdighet.

Användning av RBL är bara en metod för att bekämpa skräppost, och det är generellt inte ens den mest effektiva eller tillförlitliga metoden. De organisationer som upprätthåller dessa massiva listor är inte perfekta och gör misstag. Om ett misstag görs med din domän eller IP-adresser, förbannar du deras existens - det är ett fall där botemedel är ibland värre än sjukdomen.

Misslyckande med att göra en rimlig insats för att förebygga spam i din organisation är ett misslyckande med due diligence. En organisation som misslyckas med att genomföra lämpliga motåtgärder kan finna sig som svarande i en sexuell trakasserier från en anställd som översväms med pornografiska e-postmeddelanden som skickas av en spammare till hans eller hennes företags e-postadress.

Andra risker som är förknippade med skräppost inkluderar

• Missar eller tar bort viktiga e-postmeddelanden: Din chef kan oavsiktligt radera det e-postmeddelandet som godkänner din kampanj och betala höjning eftersom hennes inkorg är översvämd med skräppost och hon blir utlösande-glad med Delete-knappen - det är åtminstone en bra ursäkt!
• Virus och annan postkodkod: Även om du tycks höra mindre om virus de senaste åren är de fortfarande vanliga, och e-post är fortfarande det favoriserade mediet för att sprida dem.
• Angriper och pharming-bedrägerier: Phishing och pharming angrepp, där offer lockas till en uppenbarligen legitim webbplats (vanligtvis bankbank eller auktioner) uppenbarligen att validera sin personliga kontoinformation, är vanligtvis förekommande genom masspostningar. Det är en komplicerad bluff som begåtts av organiserade brottslingar. I slutändan kostar phishing och pharming scams offeret hans eller hennes moolah - och eventuellt hans eller hennes identitet.

Att motverka dessa hot kräver en arsenal av tekniska lösningar och användarmedvetenhetsinsatser och är - åtminstone för närvarande - en oändlig strid. Börja med att säkra dina servrar och klientdatorer. E-postservrar ska alltid placeras i en DMZ, och onödiga eller oanvända tjänster ska vara avstängda - och ändra den här standardreläinställningen! De flesta andra servrar, och nästan alla klientdatorer, ska ha port 25 inaktiverad. Implementera ett spamfilter eller annan säker mailgateway. Också, överväga följande tips för användarmedvetenhet:

• Aldrig avbryta eller svara på skräppost. Avsluta länkar i spam-e-postmeddelanden används ofta för att bekräfta legitimiteten för din e-postadress, som sedan kan läggas till i masspostlistor som säljs till andra spammare. Och så frestande som att berätta för en spammare vad du verkligen tycker om sitt oemotståndliga erbjudande för att förbättra ditt sociala liv eller förbättra din ekonomiska portfölj, läser de flesta spammare inte dina svar och är tyvärr inte sannolikt att följ ditt förslag att de hoppar av en klippa.

Även om legitima erbjudanden från välkända återförsäljare eller nyhetsbrev från yrkesorganisationer kan betraktas som spam av många människor, är det troligt att någon mottagare av en sådan massutskick vid något tillfälle registrerat sig för det där sakerna - så det är tekniskt inte spam. Alla verkar vilja ha din e-postadress när du fyller i en ansökan om någonting, och att din e-postadress ofta översätts till en öppen inbjudan för att de ska berätta om varje försäljning härifrån till evigheten. I sådana fall är avsändare skyldiga enligt U. S. law att tillhandahålla en Unsubscribe hyperlink i deras massmail, och klicka på det tar bort mottagaren från framtida mailings.

• Skicka inte automatiskt svar till Internet-e-postadresser (om möjligt). E-postservrar kan konfigureras att inte skicka automatisk svarmeddelanden (t.ex. meddelanden utanför kontoret) till Internet-e-postadresser. Men den här inställningen är kanske inte (och förmodligen inte) praktisk i din organisation. Var medveten om konsekvenserna - automatiskt svarregler diskriminerar inte spammare, så spammarna vet när du är på semester också!
• Hämta en brandvägg till din dator före du ansluter den till Internet. Denna uppmaning är särskilt sant om du använder en höghastighets kabel eller ett DSL-modem. Vanligtvis kommer en hemdator som har höghastighetsåtkomst att skannas inom några minuter efter att ha anslutits till Internet. Och om den inte skyddas av en brandvägg kommer den här datorn nästan säkert att äventyras och bli en intet ont anande zombie i någon spammares botnät-armé (över 250 000 nya zombier läggs till Internet varje dag!). Då blir du en del av problemet eftersom din hemdator och Internet-bandbredd används för att skicka skräppost och phishing-e-post till tusentals andra offer runt om i världen, och du kommer bli kvar och undra varför din helt nya state-of- den senaste hemdatorn är plötsligt så långsam och din flammande nya höghastighetsanslutning till Internet är inte så hög hastighet bara två veckor efter att du har tagit den.

Dina slutanvändare behöver inte vara CISSP-certifierade för att säkra sina hemdatorer. En enkel brandväggsprogramvara med en grundläggande konfiguration är vanligtvis tillräcklig för att avskräcka majoriteten av dagens hackare. De flesta använder automatiserade verktyg för att skanna på Internet och stör inte för att sakta ner för en dator som presenterar även den minsta utmaningen. Storlek är viktigt i dessa bot-net arméer, och alldeles för många oskyddade datorer finns där ute för att slösa tid (till och med några minuter) besegra din brandvägg.

Spam är bara toppen av isberget. Gör dig redo för nya hot som SPIM (spam via snabbmeddelanden) och SPIT (spam över Internet-telefoni) som kommer att gå förbi i striden mot meddelandesäkerhet.

Andra säkerhetsöverväganden för e-post inkluderar skadlig kod i bifogade filer, brist på integritet och brist på autentisering. Dessa överväganden kan motverkas genom att implementera respektive antivirusprogram, kryptering och digitala signaturer.

Flera applikationer som använder olika kryptografiska tekniker har utvecklats för att ge sekretess, integritet, autentisering, icke-repudiation och åtkomstkontroll för e-postkommunikation.

• Säker Mjukvara för Multipurpose Internet Mail (S / MIME): S / MIME är en säker metod för att skicka e-post som ingår i flera populära webbläsare och e-postprogram. S / MIME ger sekretess och autentisering med hjälp av RSA-asymmetriska nyckelsystem, digitala signaturer och X. 509 digitala certifikat. S / MIME överensstämmer med Public Key Cryptography Standard (PKCS) # 7-format och en specifikation för Internet Engineering Task Force (IETF).
• MIME Object Security Services (MOSS): MOSS tillhandahåller sekretess, integritet, identifiering och autentisering och icke-repudiation genom att använda MD2 eller MD5, RSA asymmetriska nycklar och DES. MOSS har aldrig varit allmänt genomförd eller använd, främst på grund av populariteten hos PGP.
• Förbättrad e-post (PEM): PEM föreslogs som en PKCS-kompatibel standard av IETF, men har aldrig varit allmänt genomförd eller använd. Det ger sekretess och autentisering genom att använda 3DES för kryptering, MD2 eller MD5 meddelande digest, X. 509 digitala certifikat och RSA asymmetriskt system för digitala signaturer och säker nyckelfördelning.
• Ganska bra integritet (PGP): PGP är ett populärt emailkrypteringsprogram. Det ger sekretess och autentisering genom att använda IDEA Cipher för kryptering och RSA asymmetriskt system för digitala signaturer och säker nyckelfördelning. Istället för en central certifikatmyndighet använder PGP en decentraliserad förtroende modell (där de kommunicerande parterna implicit litar på varandra) vilket är idealiskt för mindre grupper att validera användaridentitet (istället för att använda PKI-infrastruktur, vilket kan vara dyrt och svårt att behålla).

Idag finns två grundläggande versioner av PGP-programvaran: en kommersiell version från Symantec Corporation och en öppen version, GPG.